解説

EAP-TLS（EAP-Transport Layer Security）はIEEE 802.1Xで使われる認証プロトコルの一つで、TLSハンドシェイクを使ってデジタル証明書による相互認証を行います。認証サーバ（RADIUSサーバ）とクライアント（サプリカント）の双方がデジタル証明書（X.509証明書）を持ち、お互いに証明書を提示して認証します。これにより「なりすまし認証サーバへの接続」と「不正クライアントのネットワーク接続」の両方を防止できます。EAP-TLSは認証の強度が高い一方、クライアント証明書の発行・管理インフラ（PKI）が必要になるという運用コストがあります。EAP-TTLSやPEAPと比較して、クライアント側にも証明書が必要な点が特徴です。セキュリティ要件が高い企業・政府機関のWi-Fi環境で採用されます。

なぜ他の選択肢は違うのか

選択肢 ア

「CHAPを用いたチャレンジレスポンスによる利用者認証」はEAP-MDやPAP/CHAPを使った認証方式の説明です。CHAPはチャレンジとレスポンスによるパスワード認証であり、デジタル証明書は使用しません。EAP-TLSはTLSとデジタル証明書を使った証明書ベースの相互認証であり、チャレンジレスポンスとは認証メカニズムが異なります。

選択肢 イ

「あらかじめ登録した共通鍵によるサーバ認証と、時刻同期のワンタイムパスワードによる利用者認証」はEAP-GTC（TOTP/HOTPとの組み合わせ）やカスタム認証方式の説明です。TOTP（時刻同期OTP）とPSK（事前共有鍵）の組み合わせであり、デジタル証明書による双方向認証を行うEAP-TLSとは異なります。

選択肢 エ

「利用者IDとパスワードによる利用者認証」はEAP-PEAP（Protected EAP）やEAP-TTLSで内部認証として使われるMSCHAPv2などの説明です。PEAPはサーバ証明書でTLSトンネルを確立した上で内部でパスワード認証を行いますが、クライアント証明書は不要です。EAP-TLSはクライアントも証明書を持つ相互認証が特徴です。

解くときのポイント

EAP-TLS＝「デジタル証明書による相互認証（サーバ＆クライアント両方に証明書）」。EAP認証方式の比較：PEAP＝「サーバ証明書のみ+内部でパスワード」、EAP-TTLS＝「サーバ証明書のみ+内部で任意の認証」、EAP-TLS＝「サーバ+クライアント両方に証明書」。最も強度が高いのがEAP-TLS。